Politique de gouvernance des renseignements personnels

La présente politique encadre la gouvernance des renseignements personnels conformément à l'art. 3.2 de la Loi sur la protection des renseignements personnels dans le secteur privé (telle que modifiée par la Loi 25).

1. Rôles et responsabilités

Le responsable de la protection des renseignements personnels est : Marie-Claude Gagnon, Responsable de la protection des renseignements personnels - protection@assurance-boreale.example. Il veille au respect de la présente politique tout au long du cycle de vie des renseignements personnels et est l'interlocuteur des personnes concernées et de la Commission d'accès à l'information.

2. Conservation

Les renseignements personnels ne sont conservés que le temps nécessaire à la réalisation des fins pour lesquelles ils ont été recueillis (art. 23). Les durées de conservation sont consignées par catégorie et par fin.

3. Destruction et anonymisation

Lorsque les fins sont accomplies, les renseignements sont détruits ou anonymisés conformément à l'art. 23. Les renseignements utilisés pour rendre une décision sont conservés au moins un an après la décision (art. 11, al. 2).

4. Mesures de sécurité

Nous prenons les mesures de sécurité propres à assurer la protection des renseignements personnels et raisonnables compte tenu, notamment, de leur sensibilité, de la finalité de leur utilisation, de leur quantité, de leur répartition et de leur support (art. 10). Ces mesures couvrent l'ensemble du cycle de vie des renseignements, de la collecte jusqu'à leur destruction, qui est effectuée de manière sécuritaire. Les principales mesures en place sont : hébergement infonuagique auprès de Nordlys Cloud Services Ltd (Irlande, Union européenne), encadré par une EFVP et des clauses contractuelles de protection équivalente.

5. Gestion des incidents de confidentialité

Tout incident de confidentialité est consigné au registre. Lorsqu'il présente un risque de préjudice sérieux, la Commission d'accès à l'information et les personnes concernées en sont avisées avec diligence (art. 3.5 à 3.8).

6. Traitement des plaintes

Toute plainte relative à la protection des renseignements personnels est adressée au responsable, qui en accuse réception et y répond dans un délai raisonnable.

7. Communication à l'extérieur du Québec et évaluations

Toute communication de renseignements personnels à l'extérieur du Québec fait l'objet d'une évaluation des facteurs relatifs à la vie privée préalable (art. 17). Les projets d'acquisition, de développement ou de refonte de système d'information ou de prestation électronique de services faisant appel à des renseignements personnels font également l'objet d'une telle évaluation (art. 3.3).

8. Formation et accès interne

Seules les personnes dont les fonctions le justifient ont accès aux renseignements personnels. Le personnel est sensibilisé à la présente politique.